Knyt kontoradgang til identitet, ikke til switchporten
Segmentering, adgangskontrol og serviceautorisation er forskellige opgaver. Tre betingelser afgør, om identitetsstyret adgang slår VLAN pr. port.
Der ligger to design på bordet. Det ene holder medarbejderne i rollebaserede VLAN'er og retter switchporte, når folk flytter sig. Det andet autentificerer sessionen og lader politikken afgøre, hvad den må nå. Valget handler ikke om modernitet; det handler om, hvorvidt tre betingelser gælder i din bygning. Hvis blot én af dem svigter, er det portbaserede design ikke dumt, det er det, du faktisk kan drive.
De tre betingelser er håndhævelse, identitetskvalitet og fejlopførsel.
Betingelse 1: kan adgangsenhederne håndhæve en returneret politik
802.1X er et forhold mellem en supplikant på endepunktet, en autentifikator i switchen eller accesspunktet og en autentifikationsserver, der nås over RADIUS. Serveren kan returnere en VLAN eller et andet politikresultat, og RFC 3580 beskriver den signalering. Switchen skal stadig implementere det resultat, du regner med.
Bed om en evne, ikke om en protokol: dynamisk VLAN-tildeling, downloadbare ACL'er eller en omdirigering til en registreringsportal.
Betingelse 2: er identitetskilden autoritativ og hurtig at ændre
Gruppemedlemskab i kataloget hjælper kun, hvis det er det felt, forretningen allerede retter, når en rolle ændres. Hvis rollefordelingen lever i et regneark, der kopieres til grupper hver måned, automatiserer identitetsstyret adgang blot et forældet input. Kontroller også latenstiden, for en nyansat, der ikke kan arbejde en hel dag, er et værre resultat end en manuel portændring. Enhedsautentifikation, brugerautentifikation og begge sammen er separate valg, og printere har brug for en eksplicit model i stedet for en uforklaret omvej.
Skriv mappingen ned: hvilken gruppe giver hvilken politik, og hvem må ændre den.
Betingelse 3: beslut fejlopførslen før piloten
Hver udrulning har en uautentificeret tilstand og en tilstand med utilgængelig server, og politikken for begge er en sikkerhedsbeslutning. Et tavst fald tilbage til et betroet segment underminerer designet; en hård fejl blokerer arbejdet under en afbrydelse. Den sædvanlige mellemvej er et begrænset segment med kun internetadgang og en klar rute til helpdesken. Test tilbagefaldet på den rigtige switch eller trådløse platform, for leverandørernes standarder er forskellige.
Hvis ingen kan beskrive tilbagefaldet i én sætning, er designet ikke færdigt.
Hvor VPN passer ind
En VPN autentificerer adgang over en ikke-betroet vej, og at kræve den på kontorets LAN kan også være en bevidst tillidsbeslutning. Den fjerner ikke behovet for gruppemapping eller for filserverens egen autorisation. Den tilføjer også gatewaykapacitet, klientsoftware og sessionsstyring til den driftsmæssige byrde.
En VPN købt for at undgå at rette VLAN'er har løst det forkerte problem og tilføjet to nye.
Tabellen, og den ene ting der skal beholdes
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Behold segmenter til servere, gæster, enheder og operationel teknologi. De grænser handler om trafik frem for jobtitler, og de overlever enhver reorganisering. Læg medarbejdernes rettigheder i identitetspolitikken, hvor en rolleændring er én rettelse, og brug den understøttede afbrydelsesmekanisme, når fjernelse skal være hurtig.
Testen på designet er en skrivebordsflytning: den skal flytte en person og dennes udstyr, ikke genopbygge personens tilladelser omkring et andet stik.